Enumerazione Driver: Device Driver Discovery (T1652)

In un ingaggio red team la scoperta dei driver serve a due scopi: mappare le difese e individuare driver vulnerabili riutilizzabili per escalation. La tecnica è low-noise perché sfrutta binari nativi (LOLBins), ma va comunque calibrata rispetto al profilo di detection del cliente.

Su Windows il comando canonico è driverquery /v /fo csv che restituisce nome, tipo di avvio, path del binario e stato di ogni driver. Per un output più strutturato si usa driverquery /si per ottenere anche le firme digitali, informazione critica quando si cerca un driver firmato ma vulnerabile da abusare. In alternativa PowerShell offre Get-WmiObject Win32_SystemDriver oppure Get-CimInstance -ClassName Win32_PnPSignedDriver, che espone il publisher e la data di firma.

L'ispezione via registro è più stealth: la chiave HKLM\SYSTEM\CurrentControlSet\Services elenca tutti i servizi driver, e query mirate con reg query verso sottochiavi note di prodotti EDR (per esempio CrowdStrike, SentinelOne, CarbonBlack) rivelano rapidamente lo stack di sicurezza. Il pattern osservato in Medusa Group e in HOPLIGHT (che interroga HKLM\Software\WBEM\WDM) segue esattamente questa logica.

Una volta ottenuta la lista, il passaggio successivo in laboratorio è confrontarla con il progetto LOLDrivers (open source), un database community-driven che cataloga driver vulnerabili e malicious noti con relativi hash. Il matching automatizzato consente di identificare candidati BYOVD già installati sull'host.

Su Linux i comandi operativi sono lsmod per la lista dei moduli caricati, modinfo <nome_modulo> per dettagli su autore e parametri, e cat /proc/modules per un accesso raw. L'enumerazione di /dev con ls -la /dev/ rivela device speciali eventualmente esposti da rootkit o strumenti di monitoraggio.

Su macOS l'utility kextstat elenca le kernel extension caricate, mentre kextfind localizza bundle .kext sul filesystem. Su versioni recenti molte kext sono state deprecate in favore delle System Extensions, quindi conviene ispezionare anche /Library/SystemExtensions/.

Per la fase di post-exploitation i framework Cobalt Strike (a pagamento), Sliver (open source) e Metasploit (open source) integrano moduli di enumerazione host che includono la raccolta dei driver come parte del profiling. In un esercizio purple team è utile eseguire i comandi in sequenze diverse (interattiva, scriptata, via WMI remoto) per validare la copertura delle regole di detection del blue team.

La detection di T1652 si basa sul monitoraggio dell'esecuzione di utility di enumerazione driver e sull'accesso anomalo a chiavi di registro correlate. La strategia DET0579 definisce tre analitiche piattaforma-specifiche che coprono Windows, Linux e macOS.

Su Windows (analitica AN1595) le fonti principali sono WinEventLog:Security e WinEventLog:Sysmon. L'evento chiave è Sysmon EventID 1 (Process Creation) con Image che termina in driverquery.exe, correlato al ParentImage: esecuzioni da cmd.exe o powershell.exe lanciate da processi utente non amministrativi sono sospette, mentre invocazioni da script di inventario o SCCM sono legittime. Il Security EventID 4688 fornisce la stessa telemetria in assenza di Sysmon, purché sia abilitata l'audit di process creation con command line.

Le chiamate API EnumDeviceDrivers() non sono direttamente loggabili senza strumentazione EDR, ma un buon proxy è il monitoraggio di Sysmon EventID 12/13 (Registry) su chiavi come HKLM\SYSTEM\CurrentControlSet\Services*\ImagePath e HKLM\Software\WBEM\WDM (quest'ultima specificamente osservata in HOPLIGHT). Una regola efficace correla in una finestra di 60-120 secondi la creazione di un processo sospetto con multiple query registry verso sottochiavi Services, costruendo la catena comportamentale suggerita dalla strategia di detection.

Il tuning raccomandato prevede whitelist per utility amministrative attese (driverquery.exe eseguito da account di servizio di asset management) e la definizione di una finestra temporale di correlazione per evitare rumore. Attenzione ai falsi positivi: strumenti come PDQ Inventory (a pagamento), Lansweeper (freemium) e gli agenti Microsoft Defender for Endpoint (a pagamento) invocano legittimamente queste API.

Su Linux (analitica AN1596) le fonti sono auditd:SYSCALL e auditd:FS. Una regola auditd mirata è -w /sbin/lsmod -p x -k driver_discovery e -w /proc/modules -p r -k driver_discovery, che intercetta esecuzione di lsmod e letture dirette del filesystem procfs. Filtrare per auid diverso da root o da account di sistema riduce il rumore generato da script di manutenzione.

Su macOS (analitica AN1597) il unified log espone l'esecuzione di kextstat e kextfind. Un predicato utile è process == "kextstat" con filtro sul parent process per escludere invocazioni da tool diagnostici Apple. L'accesso a /System/Library/Extensions/ da parte di processi utente non firmati merita alert dedicato, poiché rappresenta un pattern raro fuori da contesti di sviluppo kernel.

L'analisi forense di T1652 ricostruisce la timeline dell'attività di discovery a partire da artefatti volatili e persistenti. Su un host Windows compromesso il primo passo è l'esame delle evidenze di esecuzione: Prefetch (C:\Windows\Prefetch\DRIVERQUERY.EXE-.pf*) conferma esecuzioni recenti dell'utility con timestamp di prima e ultima esecuzione e contatore, mentre Amcache.hve (C:\Windows\AppCompat\Programs\Amcache.hve) registra hash SHA-1 e path del binario eseguito.

L'analisi delle ShimCache (HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache) e delle UserAssist (HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist) integra la ricostruzione, con quest'ultima particolarmente utile se l'esecuzione è avvenuta tramite GUI. Per estrarre questi artefatti in modo strutturato si usano RegRipper (open source), AmcacheParser e PECmd della suite Eric Zimmerman (open source) e il framework Plaso/log2timeline (open source) per la timeline unificata.

Se Sysmon era attivo, gli eventi EventID 1 per driverquery.exe e gli EventID 12/13 per accessi a HKLM\SYSTEM\CurrentControlSet\Services e HKLM\Software\WBEM\WDM (quest'ultima associata a HOPLIGHT) forniscono la catena completa comando-registro. L'EventID 4688 del Security log offre l'equivalente in ambienti senza Sysmon, purché la command line auditing sia stata abilitata.

La memoria RAM è una fonte preziosa: un dump acquisito con WinPmem (open source) o Magnet RAM Capture (gratuito) e analizzato con Volatility 3 (open source) permette di enumerare i driver caricati al momento del dump tramite il plugin windows.modules, confrontabile con la baseline dell'host per rilevare driver sospetti caricati dopo l'esecuzione di discovery. Il plugin windows.cmdline estrae le command line dei processi ancora residenti, utile per catturare invocazioni di driverquery non ancora flushate su disco.

Su Linux gli artefatti chiave sono il file ~/.bash_history dell'utente compromesso (se non ripulito), i log di auditd in /var/log/audit/audit.log con record SYSCALL correlati a execve di lsmod e modinfo, e i journal di systemd interrogabili con journalctl. Il file /proc/modules stesso, letto durante l'incident response, mostra lo stato corrente ma non fornisce timeline storica.

Su macOS il unified log è consultabile con log show --predicate 'process == "kextstat"' --last 7d per ricostruire le esecuzioni recenti. Le FSEvents in /.fseventsd/ possono confermare accessi a /System/Library/Extensions/.

Per casi legati a INC Ransomware, che verifica la presenza di driver specifici come Microsoft Print to PDF e XPS Document Writer, la timeline dovrebbe evidenziare query mirate a un set ristretto di driver anziché enumerazione completa, un pattern distintivo utile per l'attribuzione.

L'adozione di T1652 nei playbook offensivi rivela obiettivi operativi eterogenei: profilazione dell'host, evasione difensiva e selezione condizionale del payload. I dati MITRE censiscono un solo gruppo APT esplicitamente mappato alla tecnica, ma tre famiglie malware significative ne fanno uso, suggerendo una diffusione più ampia di quanto la matrice ufficiale rifletta.

Il Medusa Group (G1051), operatore ransomware attivo con modello ransomware-as-a-service, integra driverquery nella fase post-exploitation come parte del profiling dell'ambiente compromesso. L'uso di un binario nativo Windows è coerente con la filosofia living-off-the-land del gruppo, che minimizza il footprint di tool custom per ridurre le opportunità di detection basate su hash o firme YARA. La telemetria di driverquery precede tipicamente le fasi di disabilitazione dei prodotti di sicurezza e di distribuzione del payload di cifratura.

Remsec (S0125), backdoor modulare attribuita a operazioni di cyber-espionage sofisticate, dispone di un plugin dedicato al rilevamento di driver di prodotti di sicurezza attivi. Questo approccio selettivo — cercare specificamente driver EDR/AV noti anziché enumerare tutto — indica un livello di threat modeling elevato e la volontà di adattare il comportamento successivo in funzione della postura difensiva rilevata, riducendo l'esposizione in ambienti presidiati.

HOPLIGHT (S0376), malware associato a operazioni nord-coreane, enumera i driver ispezionando la chiave di registro HKLM\Software\WBEM\WDM. La scelta di una chiave WMI-related è tatticamente interessante: evita l'invocazione di driverquery.exe (spesso monitorato) sfruttando accessi al registro che generano telemetria meno prioritaria negli SOC medio-maturi. Questo pattern rappresenta un caso di studio di detection evasion by design.

INC Ransomware (S1139), famiglia ransomware emersa nel panorama double-extortion, verifica la presenza di driver molto specifici tra cui Microsoft Print to PDF e Microsoft XPS Document Writer. L'obiettivo probabile è identificare workstation office-oriented o ambienti dove funzionalità di stampa virtuale possono essere sfruttate per la generazione di note di riscatto o per identificare bersagli ad alto valore documentale.

Il trend osservabile è la convergenza tra ransomware operators e malware di espionage nell'uso di driver discovery come step precursore. Per ransomware serve a decidere se procedere o abortire (evasione sandbox e VM), per espionage serve a scegliere quali moduli caricare. In prospettiva, la crescente diffusione di attacchi BYOVD rende l'enumerazione dei driver rilevante anche per identificare driver vulnerabili già presenti da riabusare, un vettore in forte crescita nei toolkit di privilege escalation moderni.

MITRE ATT&CK T1652 (Device Driver Discovery), tattica TA0007 (Discovery). Gruppi e software citati: G1051 (Medusa Group), S0125 (Remsec), S0376 (HOPLIGHT), S1139 (INC Ransomware). Strategia di detection DET0579 con analitiche AN1595, AN1596, AN1597. Integrata conoscenza professionale su tool forensi (Volatility, Eric Zimmerman suite, RegRipper, Plaso), framework offensivi (Cobalt Strike, Sliver, Metasploit), progetto LOLDrivers e sintassi operativa dei comandi nativi Windows/Linux/macOS.